في أكتوبر 2025 عالجت Microsoft ثغرتين في Windows كانتا تُستغلان فعليًا قبل صدور الإصلاحات: CVE-2025-24990 في برنامج تشغيل Agere Modem القديم، وCVE-2025-59230 في Windows Remote Access Connection Manager. وفي الحالتين كان الهدف رفع الصلاحيات محليًا حتى مستوى مرتفع يمكن أن يصل إلى SYSTEM.
الوضع في 2026 مختلف عن لحظة الكشف: الثغرتان ليستا مشكلتين غير مُصححتين اليوم. أصدرت Microsoft الإصلاحات في أكتوبر 2025، وأدرجتهما CISA ضمن Known Exploited Vulnerabilities بسبب وجود دليل على الاستغلال الفعلي. الخطر الحالي يتركز أساسًا على الأجهزة التي لم تثبّت التحديثات المطلوبة أو تعمل بإصدارات Windows لم تعد تحصل على تحديثات أمنية مناسبة.
ماذا حدث في أكتوبر 2025؟
تزامن الكشف مع تحديثات Microsoft الأمنية لشهر أكتوبر 2025. وعلى عكس ثغرة نظرية اكتشفها باحث ولم تُستخدم بعد، أكدت بيانات Microsoft وCISA أن الثغرتين دخلتا مرحلة Active Exploitation.
للتفريق بين مصطلحات مثل Vulnerability وExploit وZero-Day، يكفي هنا أن Zero-Day تصف حالة يكون فيها المهاجمون قادرين على استغلال الثغرة قبل توفر الحماية المناسبة على نطاق المستخدمين. ويمكن الرجوع إلى شرح مصطلحات الأمن السيبراني وهجمات Zero-Day لفهم هذه المصطلحات بصورة أوسع.
| الثغرة | المكوّن | النوع | CVSS | الاستغلال | الوضع الحالي |
|---|---|---|---|---|---|
| CVE-2025-24990 | Agere Modem Driver | Elevation of Privilege | 7.8 | مؤكد | أزيل برنامج التشغيل المتأثر عبر تحديثات أكتوبر 2025 |
| CVE-2025-59230 | Remote Access Connection Manager | Elevation of Privilege | 7.8 | مؤكد | أُصلحت عبر تحديثات Windows الأمنية |
CVE-2025-24990: لماذا ارتبطت الثغرة بعبارة «كل إصدارات Windows»؟
ترتبط CVE-2025-24990 ببرنامج تشغيل قديم تابع لجهة خارجية يُعرف باسم ltmdm64.sys وكان Windows يوزعه لدعم بعض أجهزة Agere Fax Modem القديمة.
صُنفت الثغرة كحالة Untrusted Pointer Dereference تسمح لمهاجم يمتلك وصولًا محليًا وصلاحيات منخفضة برفع صلاحياته على النظام. وقد أعطتها Microsoft درجة CVSS تبلغ 7.8.
لكن وصفها بأنها «تؤثر على كل إصدار Windows صدر في التاريخ» يحتاج إلى شيء من الدقة. السبب وراء انتشار هذا الوصف عند الكشف كان أن برنامج التشغيل القديم ظل مضمّنًا افتراضيًا في نطاق واسع جدًا من إصدارات Windows، حتى على أجهزة لا تستخدم مودم Agere فعليًا.
قائمة المنتجات الرسمية المرتبطة بالثغرة شملت عدة إصدارات مدعومة من Windows 10 وWindows 11 وWindows Server، وليست ادعاءً بأن كل نسخة Windows منذ الإصدارات الأولى كانت قابلة للاستغلال بالطريقة نفسها.
يمكن مراجعة نشرة Microsoft الرسمية الخاصة بـ CVE-2025-24990 لمعرفة المنتجات والإصدارات التي أدرجتها الشركة.
كيف عالجت Microsoft المشكلة؟
بدل محاولة الاستمرار في صيانة مكوّن قديم، اتخذت Microsoft قرارًا أكثر حسمًا: إزالة برنامج التشغيل ltmdm64.sys من Windows ضمن التحديث التراكمي الصادر في أكتوبر 2025.
هذا يعني أن الأجهزة المحدّثة لم تعد تعتمد على المكوّن الضعيف أصلًا. لكن هناك أثر جانبي مهم: أجهزة Fax Modem القديمة التي تعتمد تحديدًا على هذا البرنامج قد تتوقف عن العمل، ولذلك أوصت Microsoft بإزالة أي اعتماد مستمر على هذا العتاد.
CVE-2025-59230: رفع الصلاحيات عبر Remote Access Connection Manager
الثغرة الثانية، CVE-2025-59230، توجد في Windows Remote Access Connection Manager المعروف اختصارًا باسم RasMan، وهو مكوّن مسؤول عن إدارة أنواع من الاتصالات البعيدة مثل اتصالات VPN وDial-up.
بحسب الوصف الرسمي، نتجت المشكلة عن Improper Access Control. ويحتاج المهاجم إلى وصول محلي وصلاحيات منخفضة مسبقًا، لذلك لا تمثل الثغرة وحدها وسيلة لاختراق جهاز Windows عشوائي عن بُعد عبر الإنترنت.
تكمن أهميتها في مرحلة ما بعد الاختراق: إذا نجح المهاجم أولًا في تشغيل كود أو الوصول إلى حساب محدود، يمكن لثغرة رفع الصلاحيات أن تساعده على الانتقال من مستخدم محدود إلى صلاحيات SYSTEM، وهو ما يوسع قدرته على التحكم في الجهاز وتعطيل وسائل الحماية والوصول إلى بيانات إضافية.
وتوضح نشرة Microsoft الخاصة بـ CVE-2025-59230 أن الاستغلال محلي ويتطلب صلاحيات منخفضة ولا يحتاج إلى تفاعل إضافي من المستخدم بعد توفر شروط الهجوم.
لماذا كانت ثغرتان بدرجة 7.8 أولوية أمنية مرتفعة؟
درجة CVSS ليست العامل الوحيد عند تحديد أولوية التصحيح. الثغرة ذات الدرجة الأعلى نظريًا ليست دائمًا أول مشكلة يجب إصلاحها في بيئة حقيقية.
في هذه الحالة كان العامل الحاسم هو وجود استغلال فعلي. أضافت وكالة CISA كلًا من CVE-2025-24990 وCVE-2025-59230 إلى كتالوج Known Exploited Vulnerabilities في 14 أكتوبر 2025.
إدراج ثغرة في KEV لا يعني أن كل جهاز معرض لهجوم في تلك اللحظة، لكنه يعني أن هناك دليلًا كافيًا على استخدامها في العالم الحقيقي، وهو سبب قوي لمنح تصحيحها أولوية أعلى من عشرات الثغرات النظرية التي لا توجد مؤشرات على استغلالها.
ما الذي تغيّر منذ الكشف حتى 2026؟
1. الثغرتان أصبحتا مصححتين
لم تعد CVE-2025-24990 وCVE-2025-59230 ثغرتين بلا إصلاح. وتحديثات Windows التراكمية تعني أن تثبيت تحديث أمني أحدث على إصدار مدعوم يتضمن الإصلاحات السابقة لذلك الفرع، ولا يحتاج المستخدم عادة إلى البحث عن حزمة أكتوبر 2025 القديمة وتثبيتها بصورة منفصلة.
2. برنامج Agere الضعيف أُزيل بدل ترقيعه فقط
هذه نقطة مهمة في CVE-2025-24990. Microsoft لم تكتفِ بتغيير جزء من الكود ثم ترك المكوّن داخل النظام، بل أزالت برنامج التشغيل القديم، مما يقلل مساحة الهجوم المرتبطة به على الأجهزة المحدّثة.
3. Windows 10 أصبح في مرحلة مختلفة من دورة حياته
انتهى الدعم المجاني المعتاد لـ Windows 10 في 14 أكتوبر 2025. لذلك فإن تشغيل Windows 10 اليوم دون مسار تحديث أمني صالح يمثل مشكلة أوسع من هاتين الثغرتين وحدهما.
وتوضح صفحة Microsoft الحالية لنهاية دعم Windows 10 الخيارات المتاحة للأجهزة التي لم تنتقل بعد إلى Windows 11، بما في ذلك برنامج Extended Security Updates للأجهزة المؤهلة.
أما الأجهزة المؤهلة للانتقال إلى Windows 11، فالأفضل إبقاؤها على إصدار مدعوم وتثبيت التحديثات التراكمية الحالية. ويمكن الاطلاع على طريقة تحديث Windows 11 إلى إصدار 25H2 إذا كان الجهاز مؤهلًا لهذا المسار.
4. وصف «Zero-Day» أصبح تاريخيًا في هذا السياق
من الشائع أن تستمر المقالات في تسمية CVE قديمة بأنها Zero-Day بعد سنوات من إصلاحها. هذا مفيد لوصف ظروف اكتشافها تاريخيًا، لكنه قد يعطي انطباعًا خاطئًا بأنها لا تزال بلا حل.
الأدق في 2026 هو القول إن الثغرتين استُغلتا كـ Zero-Day في أكتوبر 2025 ثم أصدرت Microsoft إصلاحاتهما. أما الجهاز غير المحدّث فيظل قابلًا للتعرض للثغرة المعروفة، لكنها لم تعد سرًا بلا Patch.
هل جهاز Windows لديك لا يزال معرضًا لهاتين الثغرتين؟
إذا كان الجهاز يعمل بإصدار Windows مدعوم ويتلقى التحديثات الأمنية الحالية بانتظام، فمن المفترض أن تكون إصلاحات أكتوبر 2025 وما بعدها موجودة بالفعل.
ترتفع المخاطرة في حالات مثل:
- إيقاف Windows Update لفترة طويلة.
- استخدام نسخة Windows قديمة وصلت إلى نهاية الدعم ولا تحصل على تحديثات مناسبة.
- وجود جهاز مؤسسي خرج من نظام إدارة التحديثات أو لم ينجح في تثبيت التحديثات التراكمية.
- استعادة نسخة نظام أو Snapshot قديمة دون إعادة تطبيق التحديثات الأمنية.
- استخدام Windows 10 بعد نهاية الدعم دون الاشتراك في مسار ESU مناسب أو الانتقال إلى نظام مدعوم.
كيف تتحقق من أن الجهاز محمي؟
- افتح Windows Update: انتقل إلى Settings ثم Windows Update واضغط Check for updates.
- ثبّت جميع التحديثات الأمنية المطلوبة: لا يكفي تنزيلها؛ أعد تشغيل الجهاز عندما يطلب Windows ذلك حتى تكتمل عملية التثبيت.
- راجع Update history: تأكد من أن الجهاز لم يتوقف عن تثبيت التحديثات التراكمية بسبب خطأ متكرر.
- تحقق من إصدار Windows ودورة دعمه: وجود زر Windows Update لا يعني بالضرورة أن الإصدار ما زال يحصل على جميع التصحيحات الأمنية المطلوبة.
- في بيئات المؤسسات: راجع حالة الامتثال للتحديثات على جميع الأجهزة بدل الاعتماد على فحص جهاز واحد، وأعط الأولوية للثغرات الموجودة في CISA KEV.
لا يُنصح بمحاولة تنزيل ملفات DLL أو Drivers بديلة من مواقع غير رسمية لإعادة برنامج Agere القديم بعد إزالته، لأن ذلك قد يعيد مكوّنًا ضعيفًا إلى النظام ويخلق مشكلة أمنية جديدة.
هل تحتاج إلى تعطيل VPN بسبب CVE-2025-59230؟
لا. وجود الثغرة في Remote Access Connection Manager لا يعني أن استخدام VPN بحد ذاته أصبح غير آمن أو أن كل اتصال VPN يسمح باستغلالها عن بُعد.
الثغرة كانت من نوع Local Privilege Escalation، أي أن المهاجم يحتاج أولًا إلى موطئ قدم على الجهاز وصلاحيات محلية محدودة. الإجراء الصحيح هو تحديث Windows، وليس تعطيل VPN أو خدمات الشبكة عشوائيًا على جهاز محدّث.
ماذا تعلمنا من ثغرتي Windows هذه؟
أهم درس ليس أن «كل إصدارات Windows مخترقة»، بل أن مكوّنًا قديمًا جدًا يمكن أن يبقى داخل نظام حديث لسنوات ويصبح جزءًا من سطح الهجوم رغم أن معظم المستخدمين لا يحتاجون إليه.
وتوضح CVE-2025-24990 قيمة إزالة المكونات القديمة عندما تصبح تكلفة صيانتها أعلى من فائدتها، بينما توضح CVE-2025-59230 سبب اهتمام المهاجمين بثغرات رفع الصلاحيات: قد لا تمنحهم الدخول الأولي إلى الجهاز، لكنها تصبح شديدة القيمة بعد نجاح مرحلة أخرى من الهجوم.
بالنسبة للمستخدم في 2026، الإجراء العملي واضح: استخدم إصدار Windows ما زال ضمن الدعم أو ضمن برنامج تحديثات أمنية صالح، ثبّت التحديثات التراكمية بانتظام، ولا تتعامل مع أخبار Zero-Day القديمة وكأن الإصلاح لم يصدر. أما المؤسسات، فعليها إضافة حالة الاستغلال الفعلي ووجود الثغرة في KEV إلى عملية تحديد أولويات إدارة الثغرات بدل ترتيبها اعتمادًا على CVSS وحده.